Das letzte Release meines Timestamping Server liegt zugegebenermaßen bereits einige Zeit zurück. Daher wurde es Zeit, wieder einige nützliche Features hinzuzufügen
Das Projekt wurde um die folgenden Aspekte erweitert:
Bisher musste man zure Validierung der Zertifikatskette die Zertifikate der Kette als gesonderte Datei vom Server herunterladen. Das spart zwar Bandbreite, ist aber unter gewissen Szenarien unschön bzw. ungeeignet.
Das erste Szenario, in dem dieses Verhalten unschön ist, umfasst die Benutzung diverser Tools, die nicht darauf vorbereitet sind, die Zertifikatskette gesondert herunterzuladen und sich nach der Erzeugung des Timestamps dann beschweren, dass der Timestamp nicht validiert wereen kann. Javas JarSigner ist dafür ein prominentes Beispiel.
Ein weiteres Szenario - das mit diesem Release aber nicht abschließend addressiert wurde - umfasst das Erstellen von kryptographisch abgesicherten Zeitstempekn zur Archivierung. Dabei ist es wichtig, alle zur Validierung des Zeitstempels benötigten Informationen im Zeitstempel selbst zu integrieren. Das umfasst zum einen alle Zertifikate der Kette zum Zeitpunkt der Erstellung des Zeitstempels und zum anderen alle für diese Zertifikate zu diesem Zeitpunkt verfügbaren CRLs (bzw. OCSP-Responses).
Ich habe mich dafür entschieden, die Software so behutsam wie möglich zu erweitern: wird das Docker-Image der Version 1.3.0 gebaut und gestartet, ändert sich am Verhalten der Lösung zunächst einmal nichts. Erst wenn man die neue Konfigurationsoption namens de.elbosso.tools.rfc3161timestampingserver.App.includeFullChain auf den Wert true setzt (durch Setzen einer entsprechenden Umgebungsvariablen), ändert sich das Verhalten dahingehend, dass nun mit jedem Request, der die Übertragung des Signer-Zertifikats verlangt dieses Signer-Zertifikat einschließlich aller Zertifikate in der zugehörigen Chain in der Response eingebettet werden.
Derzeit ist diese Konfiguration nur per Server verfügbar. Es existieren erste Ideen, mehrere Endpunkte anzubieten, über die Clients steuern können, ob die Zertifikaste der Kette in der Response enthalten sein sollen. eine entsprechende Diskussion auf Github ist bereits angelegt und freigeschaltet.
Wer noch abenteuerlustiger ist und die aktuelle SNAPSHOT-Version ausprobieren möchte: In dieser existiert bereits eine neue Option namens de.elbosso.tools.rfc3161timestampingserver.App.includeCRLs, die - falls der Wert auf true gesetzt ist in die Response sämtliche CRLs der in der Response enthaltenen Zertifikate einbettet. Das ist der noch benötigte große Schritt auf dem Weg zu Archivzeitstempeln.
11.01.2023
Ich habe hier verschiedentlich über das Thema Langzeitarchivierung berichtet - unter anderem habe ich meinen Timestamping-Server nach RFC3161 so erweitert, dass er entsprechende Archivzeitstempel erstellen kann. Und so stolperte ich zwangsweise über Parallelen zwischen Git und Archivsystemen
12.11.2022
Hier nochmal eine Beleuchtung der Organisation einer Public Key Infrastructure (PKI) von einem (von mir) bisher nicht betrachteten Blickwinkel
Testdatengeneratoren als Microservices mit Docker
02.11.2019
Ich habe die verschiedenen Testdatengeneratoren mittels Microservices über HTTP zugänglich gemacht, um sie unabhängig von der verwendeten Programmiersprache und/ oder Version (Java 11) verwenden zu können.
Weiterlesen...Android Basteln C und C++ Chaos Datenbanken Docker dWb+ ESP Wifi Garten Geo Git(lab|hub) Go GUI Gui Hardware Java Jupyter Komponenten Links Linux Markdown Markup Music Numerik PKI-X.509-CA Python QBrowser Rants Raspi Revisited Security Software-Test sQLshell TeleGrafana Verschiedenes Video Virtualisierung Windows Upcoming...
Nachdem ich neulich auf einen sehr interessanten Link gestoßen war, habe ich mich dafür interessiert, ob es möglich wäre - und falls ja: wie einfach - GIF-Animationen aus Java heraus zu erzeugen - und zwar mit Bordmitelln und ohne Zuhilfenahme externer Biblioheken
Weiterlesen...Nach der letzten losen Zusammenstellung (für mich) interessanter Links aus den Tiefen des Internet von 2024 folgt hier gleich die nächste:
Weiterlesen...Nachdem es nun bereits seit einiger Zeit ein wenig stiller um meine diversen Generatoren für Testdaten geworden ist, habe ich über den Feiertag in Thüringen einen neuen begonnen.
Weiterlesen...Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.
Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.
Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...
PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.